Verfahrensdokumentation gemäß VV Nr. 6.2 zu 70-80 LHO M-V für das IT-Verfahren Verfasser: Erstellungsdatum: 1
Vorbemerkung Die Verfahrensdokumentation dient dazu, einen Überblick über das IT-Verfahren zu verschaffen. Sie erleichtert die Prüfung, ob die kassenrechtlichen Vorgaben erfüllt werden, welche in den Verwaltungsvorschriften für Zahlungen, Buchführung und Rechnungslegung (VV zu 70-80 LHO M-V) und den dazugehörigen Anlagen sowie in der Verfahrensrichtlinie zum Einsatz von IT-Verfahren im Haushalts-, Kassen- und Rechnungswesen im Land Mecklenburg-Vorpommern (VerfRi-IT-HKR) niedergelegt sind. Diese Vorgaben richten sich partiell nach der Ausgestaltung des IT-Verfahrens. Beispielsweise müssen die Anforderungen an die Verwendung von Stichprobenkontrollverfahren nur dann erfüllt werden, wenn tatsächlich ein solches Verfahren verwendet wird. Allerdings sind auch viele Anforderungen unabhängig von der konkreten Ausgestaltung gleich. Aufgrund dessen beschränkt sich das vorliegende Muster auf Vorgaben zur Gliederung und zu einzelnen Inhalten. Ergänzt werden diese um Hinweise. Bei Abweichungen von diesen Vorgaben ist zu berücksichtigen, dass dies in der Regel zu erhöhtem Prüfungsaufwand und somit zu einer längeren Bearbeitungszeit führt. Ihr Ansprechpartner im Finanzministerium ist das Referat IV 170 (Haushaltsvollzug). Inhalt 1. Einführung... 3 2. Verantwortungsbereiche (Nr. 5.1 VerfRi-IT-HKR)... 3 3. Zugriff auf das IT-Verfahren (Nr. 5.6 VerfRi-IT-HKR)... 3 4. Datenerfassung und -verarbeitung (Nr. 5 VerfRi-IT-HKR)... 4 5. Revisionsfähigkeit des Verfahrens (Nr. 5.8 VerfRi-IT-HKR)... 5 6. IT-Sicherheit (Nr. 5.9 VerfRi-IT-HKR)... 5 7. Interne Kontrollen zur Einhaltung des Kassenrechts (Nr. Nr. 5.10 VerfRi-IT-HKR)... 6 8. Archivierung aufbewahrungspflichtiger Unterlagen... 6 2
1. Einführung Im Rahmen der Einführung sollen der Hintergrund des IT-Verfahrens, die damit verfolgten Ziele sowie wichtige Eckpunkte des IT-Verfahrens kurz dargelegt werden. Dabei sind folgende Punkte zu thematisieren: Welche Ziele werden mit dem IT-Verfahren verfolgt? Welche Sachverhalte werden mit dem IT-Verfahren bearbeitet? Beruht das IT-Verfahren auf bereits im Einsatz befindlichen IT-Verfahren oder wird durch das IT-Verfahren ein im Einsatz befindliches IT-Verfahren abgelöst? Liegen für das bereits im Einsatz befindliche Verfahren Zertifizierungen vor? Wenn ja, welche? Welchen Umfang, insbesondere in finanzieller Hinsicht, weist das IT-Verfahren auf? An wen oder von wem erfolgen Zahlungen? Ist der Anschluss an eine Schnittstelle vorgesehen? Zu welchem Zeitpunkt soll das IT-Verfahren erstmals eingesetzt werden? Entwickler Einführende Stelle Nutzer/Anwender (Angabe der Behörde) 2. Verantwortungsbereiche (Nr. 5.1 VerfRi-IT-HKR) Bei IT-Verfahren für das Haushalts-, Kassen- und Rechnungswesen sind nach den Vorgaben der Nr. 5.1.5 VerfRi-IT-HKR die Funktionen der Aufgabenerfüllung, der Verfahrensentwicklung und -pflege sowie der technischen Durchführung organisatorisch und personell zu trennen. Diese Trennung ist in der Verfahrensdokumentation zu belegen. Ausführungen zur Berechtigungsvergabe und Berechtigungsverwaltung (siehe Nr. 5.1.1 VerfRi-IT-HKR) sind im Ordnungsmäßigkeitskonzept (Berechtigungskonzept) vorzunehmen (siehe Muster-Ordnungsmäßigkeitskonzept). 3. Zugriff auf das IT-Verfahren (Nr. 5.6 VerfRi-IT-HKR) Bezüglich des Zugriffs auf das IT-Verfahren sind folgende Punkte darzulegen: Welche Personen und Personengruppen haben Zugriff auf das IT-Verfahren? Wie erfolgt der Zugriff auf das IT-Verfahren? Ist eine Passworteingabe erforderlich? Bedarf die Nutzung bestimmter Funktionen des IT-Verfahrens einer zusätzlichen Passworteingabe? Wie erfolgt die Passwortvergabe? Welche Anforderungen werden an die Ausgestaltung der Passwörter gestellt? Welche weiteren Sicherheitsmaßnahmen bestehen, um einen Zugriff von Nichtberechtigten auf das IT-Verfahren zu verhindern? 3
4. Datenerfassung und -verarbeitung (Nr. 5 VerfRi-IT-HKR) Zur Gewährleistung der Kassensicherheit kommt der vollständigen und ordnungsgemäßen Datenerfassung und -verarbeitung besondere Bedeutung zu. Dies ist der Grund für die umfangreichen Vorgaben in Nr. 5 VerfRi-IT-HKR. Gleichzeitig bedarf es somit einer genauen Darstellung der Abläufe zur Datenerfassung und -verarbeitung. Die textlichen Erläuterungen sollten dabei nach Möglichkeit um grafische Darstellungen ergänzt werden. Es sind folgende Punkte zu thematisieren: Werden mit dem IT-Verfahren Stammdaten verwaltet? Wie und von wem werden die Daten ermittelt (Nr. 5.2 VerfRi-IT-HKR)? Werden Daten aus anderen IT-Verfahren Verfahren übernommen (Nr. 5.3.1 VerfRi-IT-HKR)? Wenn ja, von wem werden die Daten übernommen? Wie wird die Richtigkeit und Vollständigkeit der Daten geprüft? Erfolgen vor der Datenerfassung eine schriftliche Feststellung der sachlichen und rechnerischen Richtigkeit und eine schriftliche Anordnung (Anlage 2 zu 70-80 LHO M-V)? Wie und von wem werden die Daten erfasst (Nr. 5.3 VerfRi-IT-HKR)? Welche Verantwortlichkeiten werden vom Datenerfasser übernommen (Nr. 5.3.2 und Nr. 5.3.3 VerfRi-IT-HKR)? Wie erfolgt die Bescheinigung der Richtigkeit und Vollständigkeit der Daten nach Nr. 5.3.2 VerfRi-IT-HKR? Werden die Daten vor der Freigabe nach Nr. 5.4 VerfRi-IT-HKR auf Richtigkeit und Vollständigkeit geprüft? Wenn nein, wie ist das Stichprobenkontrollverfahren ausgestaltet? Wie wird die Prüfung der Daten bescheinigt? Können die Daten bei der Prüfung verändert werden? Wie wird vorgegangen, wenn Fehler festgestellt werden? Wie und von wem erfolgt die Freigabe der Daten nach Nr. 5.5.1 VerfRi-IT-HKR? Wie wird sichergestellt, dass bereits verarbeitete Daten nicht erneut verarbeitet werden? Werden die freigegebenen Daten an andere Verfahren übergeben? Wie und in welchen zeitlichen Abständen erfolgt die Übergabe? Welche Kontrollen werden durchgeführt, dass die gesendeten Datensätze richtig empfangen werden? Welche Maßnahmen werden bei fehlerhaften Übertragungen ergriffen? Werden die an andere IT-Verfahren zu übertragenden Datensätze zusammen mit der jeweiligen User-ID oder System-ID übergeben? Wenn nein, wie wird sichergestellt, dass die Datensätze nach der Übertragung dem jeweiligen Verursacher zugeordnet werden können? 4
5. Revisionsfähigkeit des Verfahrens (Nr. 5.8 VerfRi-IT-HKR) Durch die Revisionsfähigkeit des IT-Verfahrens wird es ermöglicht, die Erledigung von Aufgaben mit Bezug zum Haushalts-, Kassen- und Rechnungswesen nachträglich auf ihre Ordnungsmäßigkeit zu überprüfen. Dazu müssen sämtliche Geschäftsvorfälle dokumentiert werden. Die Dokumentation muss so archiviert werden, dass sie von Dritten ohne große Mühe nachvollzogen werden kann. Insbesondere müssen Buchungen über eine Schnittstelle hinaus sowohl retrograd als auch progressiv zurück verfolgbar sein. In der Verfahrensdokumentation sind folgende Fragen zu beantworten: Wie wird sichergestellt, dass sämtliche buchführungspflichtigen Geschäftsvorfälle von einem Dritten in angemessener Zeit auf formelle und materielle Richtigkeit prüfbar sind? Wie werden Zugriffe und Geschäftsvorfälle dokumentiert? Welche Informationen werden dabei erfasst? Wer hat Zugriff auf die Dokumentation? Wie wird gewährleistet, dass Nachweise nach ihrer Erstellung nicht mehr verändert werden können? Kann die Darstellung der Geschäftsvorfälle vollständig oder auszugsweise geordnet nach Zeitpunkt, Sach- und Personenkonten erfolgen? Sind im IT-Verfahren Berechtigungen (z. B. eine vordefinierte Prüferrolle) eingerichtet, die durch direkte Zuordnung zu einer Person einen lesenden Zugriff auf alle Daten und Systemeinstellungen des IT-Verfahrens ermöglichen? Sind die Geschäftsvorfälle sowohl retrograd als auch progressiv prüfbar und ist hierbei immer eine eindeutige Zuordnung gewährleistet? Der Aufbau des IT-Verfahrens, durch den die Revisionsfähigkeit des Verfahrens gewährleistet wird, ist detailliert und nachprüfbar, gleichzeitig aber auch für Normalanwender von Computern verständlich zu erläutern. 6. IT-Sicherheit (Nr. 5.9 VerfRi-IT-HKR) IT-Verfahren dürfen nur eingesetzt werden, wenn hinreichende Vorkehrungen gegen den Verlust und die Manipulation gespeicherter Daten getroffen worden sind. Die Verfahrensdokumentation muss daher zu folgenden Punkten Auskunft geben: Liegt eine Freigabe für das IT-Verfahren vor (vgl. Nr. 5.9.3 VerfRi-IT-HKR)? Durch wen wird das IT-Verfahren betrieben? Welche Sicherheitsmaßnahmen sind nach Nr. 5.9.1 VerfRi-IT-HKR zum Schutz vor unberechtigten Zugriffen sowie zum Schutz des Datenbanksystems, der Schnittstellen und der Datenübertragungen getroffen worden? In welchen zeitlichen Abständen wird der Daten- und Programmbestand gesichert? Wo werden die Sicherheitskopien aufbewahrt? Wie ist organisatorisch sichergestellt, dass entstehende oder sichtbar werdende Programmfehler oder Sicherheitslücken nach Nr. 5.9.4 VerfRi-IT-HKR in angemessener Zeit beseitigt werden können? Liegt ein Sicherheitskonzept nach BSI vor? 5
Hinweise: Die ergriffenen technischen Sicherheitsmaßnahmen sind detailliert und nachprüfbar, gleichzeitig aber auch für Normalanwender von Computern verständlich darzulegen. Beruhen die getroffenen Sicherheitsmaßnahmen auf Sicherheitskonzepten oder liegt für die Sicherheitsmaßnahmen eine Zertifizierung (z. B. vom Bundesamt für Sicherheit in der Informationstechnik (BSI)) vor, kann auf eine nähere Darstellung der Sicherheitsmaßnahmen verzichtet werden. Durch die gemäß Nr. 2 VerfRi-IT-HKR zuständige Stelle, i.d.r. der Beauftragte für den Haushalt (BfH), ist zu bestätigen, dass ein Sicherheitskonzept gemäß IT-Grundschutz des Bundesamtes für Sicherheit und Informationstechnik in aktueller Form vorliegt und umgesetzt wird. Hinsichtlich der organisatorischen Vorkehrungen ist nicht nur zu erläutern, ob und wie gewährleistet ist, dass das IT-Verfahren nicht umprogrammiert werden kann. Es sind ferner die Verfahrensabläufe zu skizzieren, die im Fall des Auftretens von Programmfehlern oder Sicherheitslücken anzuwenden sind. 7. Interne Kontrollen zur Einhaltung des Kassenrechts (Nr. 5.10 VerfRi-IT-HKR) Auch während des Einsatzes des IT-Verfahrens ist die Einhaltung der kassenrechtlichen Vorschriften regelmäßig zu überprüfen. In der Verfahrensdokumentation sind daher Ausführungen zu folgenden Punkten notwendig: Welche Kontrollen sind vorgesehen, um während des Einsatzes des IT-Verfahrens die Einhaltung der kassenrechtlichen Vorschriften sicherzustellen? (Bitte die maschinellen und manuellen Kontrollen getrennt erläutern.) Wird im Rahmen der Kontrollen überprüft, ob das eingesetzte IT-Verfahren dem dokumentierten und genehmigten Verfahren entspricht? In welchen Zeiträumen finden die Kontrollen statt? Wer ist für die Durchführung der Kontrollen verantwortlich? Wie werden die Kontrollen dokumentiert? 8. Archivierung aufbewahrungspflichtiger Unterlagen Die Archivierung der Belege ist gemäß VV Nr. 4.7 sowie Nr. 6 der Anlage 6 zu 70-80 LHO M-V darzustellen. Erforderlich sind Angaben zu folgenden Punkten: Erfolgt die Archivierung papiergestützt oder elektronisch? Werden schriftliche Unterlagen in eine elektronische Form übertragen? Welche Unterlagen werden aufbewahrt? An welchem Ort und in welcher Weise werden die Unterlagen aufbewahrt? Wie wird gewährleistet, dass Anordnungen den begründenden Unterlagen zugeordnet werden können? Für welche Zeiträume werden die Unterlagen archiviert? 6